Mit Pacbot schickt T-Mobile eine quelloffene Policy-as-Code-Plattform ins Rennen. Die bemerkt und behebt zum Teil Verstöße gegen Compliance- und Security-Richtlinien auf Cloudplattformen.

T-Mobile hat verstanden, worin Deutschland gut ist: in der Bürokratie. Könnte man witzeln. Zwar klingt Continuous Security and Compliance Assessment, die Aufgabe der gerade veröffentlichten Open-Source-Software Pacbot, zunächst nicht sonderlich spannend. Sie könnte aber in der Unternehmenscloud durchaus einen Platz finden.

Pacbot durchforstet Cloudplattformen in AWS nach Verstößen gegen die hauseigenen Sicherheits-Richtlinien und Best Practices. Pacbot achtet nicht nur auf schlecht konfigurierte Dienste, sondern auch auf abgelaufene Zertifikate und Schwachstellen in Diensten.

Die Software kann bestimmte Probleme auch selbstständig beheben, wenn zum gefundenen Regelverstoß ein so genannter Hook vorliegt. Das ist eine Funktion, die das Problem behebt. Dabei lassen sich gefundene Probleme nicht einfach manuell schließen, sondern Pacbot prüft beim nächsten Scan, ob das Problem weiterhin besteht.

Pacbot findet Konfigurationsfehler

Die Telekom hat die Plattform, deren Code unter der Apache-2.0-Lizenz steht, an das eigene Angebot in Amazons AWS-Cloud angepasst. In der Ankündigung argumentiert das Unternehmen, das mit den einfach nutzbaren Public-Cloud-Angeboten auch die Zahl der Konfigurationsfehler ansteige. Letztere würden im Bereich der Cloud-Security inzwischen Platz 1 der Security-Risiken belegen.

Pacbot kommt von T-Mobile, läuft auf AWS und steht unter der Apache-2.0.Lizenz. (Quelle: https://github.com/tmobile/pacbot)

Pacbot soll gegen diesen Trend steuern. Die Software bringt übersichtliche Dashboards inklusive Visualisierungen mit, erlaubt Compliance Monitoring und spuckt am Ende Reports aus. Die Sicherheits- und Compliance-Richtlinien sind dabei direkt in Codeform implementiert, lassen sich also an verschiedene Bedürfnisse anpassen. So hat die Telekom etwa eine Richtlinie implementiert, die alle EC2-Instanzen, die eine oder mehrere Schwachstellen mit einer CVSS-Bewertung größer als 7 aufweisen, als nicht mehr ausreichend gesichert markiert.

Gruppenrichtlinien

Admins dürfen die Infrastruktur zum Beispiel in Asset Groups aufteilen. Gehören neue Instanzen von EC2 dazu, landen sie dann automatisch im Compliance Monitoring. Zugleich lassen sich die Überprüfungen an diese Gruppen anpassen, so dass nicht immer alle Regelverletztungen im Dashboard prominent auftauchen und weniger Rauschen entsteht. Definiert der Admin zu prüfende Regeln, kann er diese gleichfalls auf bestimmte Asset Goups beschränken. So lassen sich Richtlinien auf bestimmte Anwendungen und Domänen zuschneiden.

Weitere Fähigkeiten von Pacbot, das bislang nur in der AWS-Cloud läuft, listet die Github-Seite auf. Sie verrät auch Details zum Stack der Software selbst. Deren Frontend ist mit Angular JS gemacht, das Backend einschließlich der Regeln und Jobs mit Java und der Installer verwendet Python und Terraform.